搜索

[3920] 2017-06-14_MacRansom：首款以RaaS服务形式出现的Mac勒索软件

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-16
2017-06-14_MacRansom：首款以RaaS服务形式出现的Mac勒索软件 M a c R a n s o m ： 首 款 以 R a a S 服 务 形 式 出 现 的 M a c 勒 索 软 件 原 创   E 安 全   E 安 全   2 0 1 7 - 0 6 - 1 4 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 6 月 1 4 日 讯 ， 根 据 微 软 官 方 提 供 的 数 据 ， 2 0 1 7 年 5 月 W i n d o w s   1 0 系 统 的 日 活 跃 用 户 超 过 3 亿 ， 平 均 每 人 每 天 的 用 量 为 3 . 5 个 小 时 。 我 们 也 知 道 目 前 绝 大 多 数 恶 意 软 件 包 括 勒 索 软 件 都 只 针 对 W i n d o w s 系 统 ， 对 于 绝 大 多 数 攻 击 者 而 言 制 作 M a c 或 者 是 L i n u x 恶 意 软 件 由 于 目 标 和 受 众 面 太 小 可 能 并 不 会 获 得 太 多 的 收 益 。 但 安 全 企 业 F o r t i n e t 公 司 的 恶 意 软 件 研 究 人 员 们 发 现 有 勒 索 软 件 制 作 者 开 始 将 目 标 转 向 M a c 设 备 发 动 攻 势 ， 这 款 恶 意 软 件 名 为 M a c R a n s o m ， 这 也 是 有 史 以 来 第 一 种 以 R a a S 服 务 形 式 存 在 的 M a c 勒 索 软 件 。 任 何 人 都 可 以 使 用 M a c R a n s o m 进 行 攻 击 该 恶 意 软 件 通 过 T O R 网 络 当 中 的 一 项 隐 藏 服 务 以 勒 索 软 件 即 服 务 （ 简 称 R a a S ） 的 形 式 实 现 作 用 。 尽 管 这 一 威 胁 并 不 像 其 它 类 似 威 胁 那 样 复 杂 ， 但 由 于 会 对 受 害 者 的 文 件 进 行 加 密 ， 因 此 同 样 可 能 造 成 严 重 的 后 续 影 响 。 M a c R a n s o m 作 为 R a a S ， 能 够 轻 松 以 即 服 务 形 式 帮 助 各 类 不 具 备 特 定 技 能 储 备 的 恶 意 人 士 使 用 这 一 攻 击 性 手 段 。 F o r t i n e t 公 司 在 发 布 的 分 析 报 告 当 中 指 出 “ 我 们 刚 刚 在 F o r t i G u a r d 实 验 室 当 中 发 现 了 一 种 勒 索 软 件 即 服 务 （ 简 称 R a a S ） ， 其 利 用 托 管 于 T O R 网 络 当 中 的 一 套 门 户 网 站 。 尽 管 这 种 作 法 目 前 已 经 成 为 新 的 趋 势 ， 但 在 本 案 例 中 ， 我 们 意 外 地 发 现 网 络 犯 罪 分 子 开 始 以 类 似 的 手 法 针 对 W i n d o w s 之 外 的 操 作 系 统 发 起 攻 击 — — 这 确 实 值 得 加 以 关 注 。 事 实 上 ， 这 很 可 能 是 历 史 上 第 一 例 R a a S 形 式 的 M a c   O S 恶 意 软 件 。 ” 虽 然 看 起 来 M a c R a n s o m 并 没 有 比 W i n d o w s 的 勒 索 软 件 厉 害 多 少 ， 但 这 款 勒 索 软 件 声 称 还 能 监 视 用 户 键 盘 记 录 。 这 意 味 着 这 款 勒 索 软 件 已 经 不
是 简 单 的 勒 索 功 能 了 ， 而 是 类 似 完 整 的 木 马 病 毒 可 以 窥 窃 用 户 电 脑 里 的 内 容 了 。 当 然 最 麻 烦 的 还 是 这 种 勒 索 软 件 即 服 务 的 策 略 ，   这 可 以 让 完 全 不 懂 开 发 的 下 游 攻 击 者 直 接 购 买 软 件 进 行 散 播 。 目 前 尚 无 法 直 接 通 过 T o r 门 户 获 得 M a c R a n s o m 的 变 种 版 本 ， 有 兴 趣 的 恶 意 人 士 需 要 联 系 该 勒 索 软 件 的 作 者 以 获 取 更 多 其 它 针 对 性 版 本 。 这 份 分 析 报 告 进 一 步 补 充 称 ： “ M a c R a n s o m 的 变 种 尚 无 法 通 过 该 门 户 获 取 。 必 须 联 系 该 勒 索 软 件 的 开 发 者 以 沟 通 其 它 版 本 获 取 事 宜 。 我 们 起 初 认 为 这 可 能 是 个 骗 局 ， 因 为 开 发 者 并 没 有 提 供 任 何 演 示 ;   但 在 随 后 的 验 证 当 中 ， 我 们 向 该 开 发 者 发 出 了 联 系 邮 件 并 意 外 收 到 了 回 复 。 ”   M a c R a n s o m 如 何 进 行 勒 索 ？ 这 款 勒 索 软 件 的 开 发 者 在 暗 网 上 发 布 广 告 称 这 款 软 件 是 最 复 杂 的 针 对 M a c 平 台 的 勒 索 软 件 。 购 买 者 在 支 付 费 用 后 可 以 要 求 开 发 团 队 设 置 软 件 的 触 发 时 间 并 可 以 选 择 是 否 延 迟 加 密 即 可 以 不 立 即 加 密 文 件 。 M a c R a n s o m 利 用 硬 编 码 密 钥 实 现 对 称 加 密 ， 而 且 该 勒 索 软 件 最 多 只 能 加 密 1 2 8 个 文 件 ;   在 解 密 密 钥 方 面 ， 作 者 要 求 受 害 方 支 付 0 . 2 5 比 特 币 （ 约 7 0 0 美 元 ） 。 研 究 人 员 发 现 了 两 组 由 该 勒 索 软 件 使 用 的 对 称 密 钥 ： R e a d m e K e y :   0 x 3 1 2 7 D E 5 F 0 F 9 B A 7 9 6 T a r g e t F i l e K e y :   0 x 3 9 A 6 2 2 D D B 5 0 B 4 9 E 9 其 中 的 R e a d m e K e y 用 于 加 密 包 含 有 勒 索 词 与 指 令 的 . _ R E A D M E _ f i l e ， 而 T a r g e t F i l e K e y 则 用 于 加 密 及 解 密 受 害 者 的 文 件 。 比 较 有 意 思 的 是 ， 这 款 勒 索 软 件 除 会 加 密 外 还 会 把 原 始 的 文 件 给 加 密 并 修 改 时 间 用 来 防 止 被 恢 复 工 具 恢 复 出 来 。
通 过 对 恶 意 代 码 的 执 行 进 行 逆 向 分 析 ， 我 们 发 现 该 勒 索 软 件 首 先 会 检 查 自 身 是 否 处 于 非 M a c 环 境 或 者 调 试 环 境 当 中 。 一 旦 受 害 者 支 付 赎 金 ， 该 作 者 会 将 3 0 % 的 金 额 发 送 回 客 户 的 比 特 币 地 址 。 而 客 户 方 面 则 需 要 传 播 该 威 胁 ， 例 如 通 过 电 子 邮 件 发 布 下 载 驱 动 型 攻 击 。 开 发 者 并 不 鼓 励 采 取 下 载 驱 动 型 攻 击 或 者 其 它 需 要 上 传 M a c R a n s o m 定 制 化 版 本 的 传 播 方 法 。 F o r t i n e t 公 司 总 结 称 ： 公 司 总 结 称 ： “ 我 们 很 少 看 到 新 型 且 专 门 针 对 M a c   O S 平 台 的 勒 索 软 件 。 尽 管 其 实 际 水 平 远 远 低 于 目 前 W i n d o w s 系 统 所 面 临 的 大 多 数 勒 索 软 件 ， 但 仍 然 有 能 力 加 密 受 害 者 的 文 件 或 者 阻 止 用 户 对 重 要 文 件 的 访 问 ， 因 此 完 全 可 以 造 成 实 质 性 损 害 。 ” “ 最 后 但 同 样 重 要 的 是 ， 这 款 M a c R a n s o m 的 变 种 很 可 能 是 由 模 仿 者 加 工 并 利 用 。 因 为 我 们 从 其 中 发 现 了 很 多 提 取 自 过 往 O S X 勒 索 软 件 的 类 似 代 码 与 设 计 思 路 。 尽 管 其 与 之 前 的 O S X 勒 索 软 件 采 用 不 同 的 反 分 析 技 术 ， 但 这 些 技 术 早 已 被 众 多 恶 意 软 件 作 者 广 泛 部 署 在 自 己 的 攻 击 工 具 当 中 。 M a c R a n s o m 无 疑 是 勒 索 软 件 威 胁 大 规 模 盛 行 的 又 一 大 实 例 ， 意 味 着 任 何 一 种 操 作 系 统 平 台 都 有 可 能 遭 受 此 类 危 害 。 ” 1 4 E 安 全 推 荐 文 章 安 全 推 荐 文 章 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 6 月 月   0 1 2 0 1 7 高 考 防 “ 骗 ” 指 南 ， 考 上 了 还 没 完 ？ ！ 0 2 美 国 防 部 评 估 中 国 网 络 作 战 实 力 0 3 N S A 如 何 定 位 泄 密 女 临 时 工 ？ E 安 全 为 您 还 原 追 踪 全 貌 ！ 0 4 看 美 军 如 何 利 用 态 势 感 知 和 态 势 理 解 0 5 影 子 经 纪 人 最 终 身 份 的 可 能 性 分 析 0 6     《 网 络 安 全 法 》 的 实 施 ， 让 谁 更 焦 虑 ？ 0 7 无 视 任 何 网 络 防 御 ！ 顶 级 黑 客 利 用 C P U 接 口 窃 取 敏 感 数 据 0 8 W i n 1 0 也 沦 陷 ， 如 何 应 对 永 恒 之 蓝 ？ 0 9   美 国 情 报 部 门 申 改 7 0 2 外 国 情 报 监 视 法 为 “ 永 久 有 效 ” 1 0 注 意 了 ！ 不 起 眼 的 路 由 器 L E D 灯 可 导 致 隔 离 网 络 数 据 泄 漏 【 含 视 频 演 示 】 1 1 1 0 0 0 万 辆 汽 车 V I N 识 别 码 数 据 被 泄 ， 小 心 买 到 克 隆 车 ！ 1 2 暗 网 攻 击 格 局 分 析 ： 黑 客 盗 亦 有 道 纯 属 胡 说 八 道
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理